金融健檢的喜與愁

2015 / 05 / 19

侍家驊

    金融行業一直是國內資安的重要市場之一，行業特性及主管機關的積極管理作為，是主要的驅動力。我還記得早期採訪一位銀行CEO，他同時也是從CIO晉升到CEO，與我碰頭開場白就是『我們銀行賣的是Trust!』。

    繼政府部門的健檢活動之後，金管會也開始要求金融單位執行健檢活動，要求範圍更大更細。金融單位長時間來，在資安的投入一直都持續不斷。但這次健檢是一個較全面的檢視，的確是一個好的做法，檢視各金融單位的資訊體質及資安做法。

    主管機關的要求，帶動資安業界的超級大餅。不單單是原本提供資安服務的廠商躍躍欲試，還吸引了不少新面孔進入這個市場，一片春回大地。

    根據過去的經驗，來的太快的需求，常常伴隨一些不必要的副作用，這次仍然無法倖免。我們最不願看到的殺價競爭，無意外地在金融環境再次上演。無論是為了守住江山的廠家、為了爭取版圖的商家、延續殺價DNA的廠家、或是搞不清楚服務範圍先搶單再說的廠商，市場未完全打開，就已經血腥殺戮。即使幾個指標性的銀行案子，依然出現驚人低價，可怕的參考效應，就這樣瀰漫開來。

    比較慘的問題是，服務品質很難具體衡量。低價搶標之後，廠家出具一些報告來完成主管機關的要求，但銀行本身能否達到這項服務的原本目的，無從檢視。

    國內具備這種能量的廠家蠻有限的，願意切實做好的廠家相信更少。還未找到合適服務廠家的銀行，可能要快了，否則可能找不到專業的廠家提供服務。

    另一個必要的提醒，這次的健檢，服務的廠商勢必深入觀看所有系統。銀行的許多過去不曝光的系統或資料，可能會被近距離檢視。如何確認廠商的誠信與道德? 甚或廠商員工的私德如何保證? 參與的員工如果離職了，這些資訊如何維護? 在這個資安素養，還不算太好的大環境下，的確令人憂心.

    當然，另一個好消息則是，資安人才的需求，真的打開了，對於資安有興趣的人，現在確是投入或繼續進修的好時機，無論台灣、甚至全世界，都是全面閃著綠燈。寄望更多優秀資安人才進來，帶來新視野、帶進好態度，畢竟威脅與技術不斷更新的領域，資安服務業者應該引領市場、引領客戶，走向正確的方向。

金融資安健檢